Revisionsrapport Genomförd på uppdrag av revisorerna November 2013 Kävlinge kommun Granskning av styrning och intern kontroll i det kommunala bolaget KKB Fastigheter AB Sakkunnigt stöd till lekmannarevisionen 2013 Building a better working world
ERNST &YOUNG Innehåll 1. Inledning...............2 1.1. Bakgrund.....................2 1.2. Syfte och revisionsfrågor....................... 2 1.3. Revisionskriterier............................ 2 1.4. Ansvariga nåmnder/styrelser.,...,..................2 2. MAI och strategier.................................... 3 2 1 Mal 3 2.2. IT- och informationssäkerhet 4 3. Uppföljning 4. Intern kontroll..............................7 5. Bedömning............9 5.1. Bedömning utifrån revisionsfrågorna...........................9 5.2. Identifierade förbattringsområden/rekommendationer...,...10 1
NIERNST&YOUNG 1. Inledning 1.1. Bakgrund Intern kontroll, utifrån den vedertagna COSO-modellens definition, är en process där ledningen och övrig personal samverkar och som utformas för att med rimlig grad av säkerhet kunna uppnå följande mål: ändamålsenlig och kostnadseffektiv verksamhet, tillförlitlig finansiell rapportering och information om verksamheten, efterlevnad av tillämpliga lagar, föreskrifter, riktlinjer etc. 1.2. Syfte och revisionsfrågor Syftet med granskningen är att se hur KKB Fastigheter AB arbetar med styrning och kontroll varvid ingår att se om det finns en analys av risker och kritiska processer i verksamheterna, om riskerna hanteras på ett adekvat sätt och om de mest kritiska processerna har beaktats i den interna kontrollplanen. En fråga är också om de kontroller som finns i t ex rutiner fungerar som det är tänkt i förhållande till metod, omfattning och frekvens. Följande revisionsfrågor besvaras i granskningen: Har bolaget strategier/handlingsplaner för hur målen ska uppnås? Hur ser IT- och informationssäkerheten ut? Sker uppföljning av bolagets verksamhet, resultat och intern kontroll'? Utgår den interna kontrollen från väsentlighet- och riskanalys? 1.3. Revisionskriterier Granskningen utgår från följande revisionskriterier Bolagens interna riktlinjer, exempelvis o o o o o Internkontrollplan Bolagsordning Agardirektiv Rutinbeskrivningar Protokoll m.m. 1.4. Ansvariga nämnder/styrelser KKB Fastigheter AB's styrelse. 1.5. Tillvägagångssätt En enkät avseende former och instrument för styrning och kontroll har besvarats av bolaget. Vi har tagit del av bolagets dokument som är hänförbara till granskningen samt genomfört intervju med VD för bolaget. Enkätsvar och iakttagelser har sammanställts i denna rapport. VD för bolaget har beretts tillfälle att faktakontrollera rapporten. Vid intervjun har lekmannarevisor Gunvor Lind samt revisorssuppleant Dietmar Olbrich deltagit, 2
2. Mål och strategier Utgångspunkt: Bolaget har en klart uttalad affärsidé och driver verksamheten i överensstämmelse med av ägaren och koncernen beslutade övergripande mål och uppgifter för bolaget. Bolaget har strategier/handlingsplaner för hur målen ska uppnås. 2.1. MAI Enkätsvar MAI och strategier Ja Delvis Nej 1. Kommunen har uttalat det kommunala andamålet med verksamheten i ägardirektiv och bolagshandling 2. Styrelsen har fastställt och skriftligt dokumenterat bolagets affärsidé. 3. Affärsid n stammer med av kommunen och koncernen beslutade mål och uppgifter för bolaget. 4. Bolaget har upprättat en affärs- eller verksamhetsplan. 5. 6. Planen stammer med av ko och uppgifter för bolaget. munen och koncernen beslutade mål I planen finns mål med tillhö ande aktiviteter och/eller indikatorer formulerade. 7. 8. Målen, aktiviteterna och/eller indikatorerna är mat- och uppföljningsbara. Bolaget har konkreta strategier/handlingsplaner som anger hur affärsidén ska förverkligas och målen uppnås, x lakttagelser Kommunalt ändamål och mål anses av företrädare för bolaget vara väl uttryckt i ägardirektiv och bolagsordning. Bolaget har även en dokumenterad affärs- och marknadsplan. Nuvarande affärs-och marknadsplan antogs 2010-12-06 och har varit gällande sedan 2011. Bolaget anser att affärs- och marknadsplanen stämmer väl överens med av kommunen beslutade mål och uppgifter för bolaget. I planen presenteras bolagets affärsidé, vision och verksamhetsmål. Verksamhetsmålen konkretiseras årligen i ett styrkort som organiseras under fokusområdena ledning, ekonomi, utveckling, marknad, produktion och eftermarknad. Inom respektive fokusområde anges strategiska mål och framgångsfaktorer för måluppfyllelse. För respektive fokusområde har även ett antal mätbara indikatorer för kommande år angetts. Därutöver anges ett flertal nyckeltal för åren 2008 2012 avseende intäkter och kostnader, omflyttning, soliditet, balansomslutning mm. Vid intervjun framförs att bolagets aktiviteter även följer kommunens politiska ambitioner genom att ett antal av styrelsens ledamöter också är ledamöter i kommunstyrelsen. Vid granskningstillfället pågick arbetet med affärs-och marknadsplanen för åren 2014 2016. Av tillhandahållet utkast kan vi konstatera att målstyrningskedjan inte förändrats. Dock har vissa indikatorer justerats. Av styrelsens protokoll 2013-10-15 framgår att utkast för kommande period hanterats samt att skriftliga synpunkter på planen skulle tillhandahållas ordförande inom 14 dagar.
En ny bolagsordning har registrerats på Bolagsverket under 2013. I bolagsordningen har ändamålen med verksamheten justerats. Vi noterar dock att bolagsordningen inte tydligt hanterar de kommunalrättsliga principer som gäller för bolaget. 2.2. IT- och informationssäkerhet Enkätsvar It - och informationssäkerhet Ja Delvis Nej Bolagets styrelse har antagit en IT-policy. 2. Bolagets IT-policy baseras på Kävlinge kommuns ITpolicy Bolagets styrelse har antagit riktlinjer för. informationssäkerhet. 4. Bolaget arbetar aktivt med säkerhet och beredskap. lakttagelser Av dokumentationen framgår att bolaget 2012-03-20 beslutade om en policy för användandet av IT. Bolaget har inte några egna IT-system utan använder kommunens. Eftersom bolaget inte förvarar någon egen information tillämpas enligt uppgift kommunens informationssäkerhetspolicy. Under 2010 inledde Kävlinge kommun ett samarbete med Staffanstorps kommun angående IT-drift och för ändamålet tillsattes en gemensam nämnd. Sedan 2012 har även Burlövs kommun ingått i detta samarbete. VD för bolaget framför att det varit en del diskussioner rörande relationen mellan bolaget och den gemensamma IT-enheten där bolaget i egenskap av kund inte upplevt att de fått tillräcklig service från IT-enheten. Dialogen och kommunikationen uppges dock ha förbättrats under 2013 och bolaget har nu en uttalad kontaktperson vid IT-enheten. Befintligt avtal mellan bolaget och Kävlinge kommun avseende IT upprättades redan 2004 och har inte förnyats sedan dess. Enkätfrågan avseende IT-policyns koppling till Kävlinge kommuns policy är besvarad med ett ja eftersom nuvarande policy utgår från tidigare gällande policy. I övrigt uppger bolaget att det bedrivs ett aktivt arbete med säkerhet och beredskap genom de kontroller som anges i IT-avtalet från 2004 samt genom det systematiska arbetsmiljö-och brandskyddsarbete som bedrivs internt och externt. x 4
3. Uppföljning Utgångspunkt: Bolaget har tydliga ansvarsområden, klara spelregler och fungerande verktyg (system, rutiner, nyckeltal mm) för styrning, uppföljning och kontroll. Styrelsen/bolaget följer kontinuerligt upp verksamhet och resultat. Styrelsen/bolaget följer också upp att den interna kontrollen i verksamheten är tillfredsställande. Ja Delvis Nej Uppföljning. Bolagets budget och redovisning år så uppbyggd att uppföljning kan ske på samtliga ansvarsnivåer. 2. Styrelsen har fastställda former för uppföljning och rapportering av ekonomi och verksamhet under året.. Det finns verktyg (system, rutiner) för en systematisk uppföljning av ekonomiskt och verksamhetsmässigt resultat inom verksamhetens olika delar. 4. Uppföljning sker regelbundet (t.ex. månadsrapporter) för att säkerställa att ekonomiskt och verksamhetsmassigt resultat uppnås inom verksamhetens olika delar. 5. Orsaker till avvikelser rapporteras och analyseras och åtgärder vidtas för att undvika negativt resultat. 6. Det finns nyckeltal/jämförelsetal för både ekonomi och verksam het. 7. Jämförelser sker med andra företag i samma bransch. 8. Jämförelser görs systematiskt över tiden i syfte att följa bolagets utveckling inom olika områden. 9. Medarbetarenkäter genomförs regelbundet. 10. Mätningar av kundtillfredsställelsen görs regelbundet inom verksamhetens alla delar. 11. Synpunkter från kunder och respondenter samlas in systematiskt, analyseras, åtgärdas och rapporteras till styrelsen. lakttagelser Av dokumenterad arbetsordning för styrelsen i KKB Fastigheter AB, senast uppdaterad 2011-05-16 framgår styrelsens ansvar och befogenheter samt arbetsuppgifter. Vidare framgår vilken information som styrelsen ska ha tillhanda under året samt i vilka frågor styrelsen har beslutanderätt. Bolaget svarar att det regelbundet genomförs uppföljningar av verksamhet och ekonomi och att det finns utformade verktyg för uppföljning. Bolaget anser att avvikelserapporteringen fungerar väl. Vid de månatliga personalmötena rapporterar samtliga områdesansvariga om sina respektive verksamheter, vilket gör det möjligt för ledningen att fånga upp avvikelser som personalen noterat. Eventuella avvikelser analyseras och åtgärder vidtas. Styrelsen sammanträder fem ganger per år och av styrelseprotokollen framgår att styrelsen, tre ganger om året får en budgetuppföljning samt att de fyra ganger om året får en vid en redovisning av likviditetsbudgeten. Vid styrelsens sista ordinarie sammanträde för året får styrelsen en mer omfattande redovisning av de budgetramar som gäller för kommande år 5
samt en redogörelse för hur bolaget ska arbeta för att hålla sig inom dessa ramar. Utöver den ekonomiska uppföljningen får styrelsen vid varje sammanträde en redovisning av uthyrningsläget, utestående hyresfordringar samt rapport rörande pågående nybyggnads-, ombyggnads- och exploateringsfrågor. Under punkten övrigt kan eventuella avvikelser rapporteras till bolagsstyrelsen. Beträffande bolagets affärs- och marknadsplan så framgår det inte hur och med vilket intervall planen ska följas upp. Enligt VD för bolaget har praxis varit att uppföljning av affärsoch marknadsplanen sker vart tredje år i samband med att den revideras inför ny period. Detta för att ha ett långsiktigt perspektiv på målstyrningen. Styrkortet har dock enligt uppgift följts upp årligen i samband med avrapportering av årsredovisningen. Styrelsen har dock inför 2014 diskuterat behovet av en mer kontinuerlig uppföljning av planen. Något beslut avseende kontinuiteten i uppföljningen har under denna granskningsperiod ännu inte tagits. Arligen jämförs verksamheten mot nyckeltal från branschorganisationen Sveriges Allmännyttiga Bostadsföretag (SABO) och resultaten diskuteras inom bolaget. Vart tredje år genomför bolaget nöjd-kund-utvärderingar och medarbetarsamtal sker årligen. Resultatet avrapporteras till styrelsen. Utöver den formella avrapporteringen avrapporterar VD för bolaget till styrelsens presidium inför varje styrelsesammanträde. Bolagets ordförande och VD träffar även kommunstyrelsens ordförande och kommunchefen vid ett antal tillfällen under verksamhetsåret för att informellt diskutera verksamheten. 6
ERNST&YOUNG 4. Intern kontroll Utgångspunkt: Bolaget har ett system for intern kontroll som säkerställer en effektiv och rättssäker verksamhet samt förebygger allvarliga fel och skador. Styrelsen fastställer årligen en intern kontrollplan som är utgår från aktuell väsentlighets- och riskanalys. Med intern kontroll avses den vedertagna COSO-modellens definition, där intern kontroll är en process där ledningen och övrig personal samverkar och som utformas för att med rimlig grad av säkerhet kunna uppnå följande mål: ändamålsenlig och kostnadseffektiv verksamhet, tillförlitlig finansiell rapportering och information om verksamheten, efterlevnad av tillämpliga lagar, föreskrifter, riktlinjer etc. Väsentlighets- och riskanalysen omfattar således såväl ekonomiska som verksarnhetsmässiga aspekter. Enkätsvar Intern kontroll Ja Delvis 1. Bolaget har i ett särskilt ärende till styrelsen beskrivit sitt system for intern kontroll. Av ärendet framgår: Syfte och Overgripande riktlinjer för den interna kontrollen Sammanställning/förteckning over befintliga styrdokument, regler, riktlinjer etc. Beskrivning av ansvarsfördelning vad gäller intern kontroll Riktlinjer för rapportering vid brister Former för rapportering till styrelsen 2. Bolaget har genomfort en vasentlighets- och riskanalys och dokumenterat denna., I väsentlighets- och riskanalysen beaktas både externa och interna risker. 4. Väsentlighets- och riskanalysen revideras årligen.. Styrelsen fastställer årligen en intern kontrollplan, för att följa upp att bolagets system för intern kontroll fungerar tillfredställande. Nej 6. Intern kontrollplanen baseras på en aktuell väsentlighets- och riskanalys. 7. Styrelsen får under året regelbundna rapporter om den interna kontrollen i verksamheten. 8. De kontroller som finns i t ex rutiner fungerar som det år tänkt i förhållande till metod, omfattning och frekvens. Kontrollplan saknas Iakttagelser Fråga 1 i tabellen på föregående sida har besvarats med delvis med motiveringen att en omfattande extern kontroll av styrelse och VD genomfördes år 2007 samt att det årligen sker viss kontroll av rutiner och beskrivningar i samband med bokslutet. Enligt VD ska en sådan 7
Quality ln Everything We Do övergripande utvärdering genomföras på nytt i maj 2014. Utvärderingen består av ett 30 tal frågor som ställs till samtliga styrelseledamöter. Bolaget har inte ett särskilt ärende till styrelsen beskrivit sitt system för intern kontroll. Dock visar granskningen att den kontinuerliga uppföljningen under året innefattar resultatet av kontrollaktiviteter. Beträffande genomförandet av en väsentlighets- och riskanalys hänvisar bolaget till den SWOT-analys som ingår i affärs- och marknadsplanen. Vid intervjun diskuteras de olika delarna och bolagets VD framför att flertalet av punkterna inte är har någon stark koppling till KKB specifikt. Med undantag för en av de angivna svagheterna är SWOT-analyserna i planen 2011-2013 identiska med de som anges i förslaget till plan 2014-2016. Vi noterar att analysen uteslutande behandlar externa risker. Det framgår inte heller av analysen vilka kontrollaktiviteter som bolaget avser genomföra utifrån de risker som identifieras i SWOTanalysen. Dock har bolaget ett flertal styrdokument med bäring på den interna kontrollmiljön, så som attestinstruktion, rutinbeskrivning avseende fakturahantering och betalningsrutin, policy för uthyrningsverksamheten, dokumenthanteringsplan och vd-instruktion. I attestinstruktionen anges att den generella rutinen ska vara att ingen attesterar egna, sidoordnads eller överordnads kostnader samt att kostnader som överskrider budget ska attesteras av VD. Inom bolaget finns fyra kvartersvärdar som har beställanderätt inom ramen för årsavtal med attesträtt upp till 35 tkr. Vidare finns 2 avdelningsansvariga tjänstemän med beställningsrätt och attesträtt upp till 50 tkr samt marknadschefen som har beställnings- och attesträtt upp till 100 tkr för vissa utvalda konton. Belopp som överskrider ovanstående attesteras av VD som tillsammans med ekonomichefen har obegränsad attesträtt. VD för bolaget bedömer att attestrutinen är väl fungerande och har inte ansett att kontroll av rutinen har varit motiverad. Vidare bedömer VD för bolaget att risken för oegentligheter är minimal, detta eftersom bolaget är litet och samtliga anställda känner varandra väl. I de nya ägardirektiven som antogs vid bolagsstämman i maj 2013 fastslås att bolaget ska efterleva det av fullmäktige beslutade reglementet för intern kontroll. Av enkätsvaren framgår att bolaget ännu inte arbetar med intern kontroll på det systematiska sätt som avses i reglementet samt i utgångspunkten för denna granskning. 8
5. Bedömning 5.1. Bedömning utifrån revisionsfrågorna Har bolaget strategier/handlingsplaner för hur målen ska uppnås? Enligt vår bedömning är det viktigt att bolagens verksamhet bedrivs med utgångspunkt i en formell plan och tydliga mål. Av granskningen framgår att riktlinjer och rutiner i stor utsträckning finns dokumenterade och de uppges vara väl känna i verksamheten. Av enkätsvar och intervju framgår att bolaget har konkretiserat mål och strategier i en affärsoch marknadsplan som sträcker sig över en treårsperiod. Målen har i styrkorten brutits ner i strategiska mål på årsbasis och framgångsfaktorer för respektive strategiskt mål har identifierats. Vidare finns mätbara och uppföljningsbara indikatorer för bedömning av måluppfyllelse samt nyckeltal. För att EU-direktivets in-houseundantag ska var tillämpligt i svensk rätt krävs att såväl verksamhetskriteriet som kontrollkriteriet är uppfyllt. Därför infördes den 1 januari 2013 i 3 kap 17 2p KL en skrivning om att kommunfullmäktige ska se till att det fastställda kommunala ändamålet och de kommunala befogenheter som utgör ram för verksamheten anges i bolagsordningen. I bolagsordningen ska alltså, såsom den nya lagstiftningen tolkas av SKL:s jurister, de kommunalrättsliga principer som gäller för bolaget anges. Enligt vår bedömning framgår det av bolagsordningen inte tydligt vilka principer som gäller för bolaget. Hur ser IT- och informationssäkerheten ut? För bolaget gäller att IT- och informationssäkerheten följer kommunens, detta eftersom bolaget köper all IT-verksamhet från kommunen och den gemensamma nämnd som ansvarar för IT-verksamheten. Bolaget har därutöver en egen IT-policy där principer för hanteringen av informationstekniken tydliggjorts. Vidare anser bolaget att de genom det systematiska arbetsmiljö- och brandskyddsarbete som bedrivs internt och externt arbetar aktivt med säkerhet och beredskap. Vi kan inom ramen för denna granskning inte konstatera några synbara brister i bolagens IToch informationssäkerhet. Dock kan nuvarande avtal inte bedömas som giltigt eftersom det inte uppdaterats sedan 2004, trots de förändringar som skett organisatoriskt. Vi rekommenderar därför bolaget att tillse att nytt avtal mellan bolaget och den gemensamma nämnden för IT upprättas omgående. Detta för att undvika tvetydigheter gällande service, kvalitet och pris. Sker uppföljning av bolagets verksamhet, resultat och interna kontroll? Bolaget uppger att de har utformade rutiner och verktyg för uppföljning. Av styrelseprotokollen framgår att styrelsen, tre gånger om året får en budgetuppföljning samt att de vid fyra sammanträden får en redovisning av likviditetsbudgeten för kommande kvartal. Vid styrelsens sista ordinarie sammanträde för året får styrelsen en mer omfattande redovisning av de budgetramar som gäller för kommande år samt en redogörelse för hur bolaget ska arbeta för att hålla sig inom dessa ramar. Utöver den ekonomiska uppföljningen får styrelsen vid varje sammanträde en redovisning av uthyrningsläget, utestående hyresfordringar samt rapport rörande pågående nybyggnads-, ombyggnads- och exploateringsfrågor. Under punkten övrigt kan eventuella avvikelser rapporteras till bolagsstyrelsen. Vidare finns en informell dialog mellan bolagets VD och styrelsens presidium samt mellan styrelsens ordförande och VD och kommunchef samt kommunstyrelsens ordförande. 9
Beträffande bolagets affärs- och marknadsplan så framgår det inte hur och med vilket intervall planen ska följas upp. Styrkortet har dock enligt uppgift följts upp årligen i samband med avrapportering av årsredovisningen. Arligen jämförs verksamheten mot nyckeltal från branschorganisationen Sveriges Allmännyttiga Bostadsföretag (SABO) och vart tredje år genomför bolaget nöjd-kund-utvärderingar. Resultaten redovisas för styrelsen. Bolaget har inte ett i särskilt ärende till styrelsen beskrivit sitt system för intern kontroll. Enligt de nya ägardirektiven ska bolaget följa kommunens reglemente för intern kontroll och även om den kontinuerliga uppföljningen under året innefattar resultatet av vissa kontrollaktiviteter bedömer vi att det interna kontrollarbetet behöver systematiseras. Vi rekommenderar därför styrelsen att omgående tillse att arbetet med att ta fram en intern kontrollplan utifrån bolagets risk- och väsentlighetsanalys påbörjas. Strukturmaterial för denna process finns framtaget i kommunen och kan fungera som ett stöd i bolagets systematisering av sin interna kontroll. Utgår den interna kontrollen från väsentlighet- och riskanalys? I bolagets affärs- och marknadsplan ingår en SWOT-analys. Av granskningen kan vi dock konstatera att bolaget endast beaktat externa processer samt att identifierade svagheter och hot inte leder vidare till några specifika kontrollaktiviteter. Det genomförs inte heller några kontroller med direkt koppling till SWOT-analysen. Beträffande avsaknaden av interna processer i genomförd SWOT-analys vill vi uppmärksamma styrelsen på de risker avseende oegentligheter och mutor som alltid är aktuella i en verksamhet där inköp och upphandlingar är en stor del av verksamheten. Vi rekommenderar bolaget att återkommande revidera och vidga genomförd SWOT-analys riskanalys samt att utifrån denna årligen anta en intern kontrollplan. 5.2. Identifierade förbättringsområden/rekommendationer Våra identifierade förbättringsområden/rekommendationer är enligt följande: r) Styrelsen bör tillse att en risk- och väsentlighetsanalys årligen upprättas, att en intern kontrollplan årligen antas samt att kommunens reglemente för intern kontroll i övrigt efterlevs. Styrelsen bör tillse att risk- och väsentlighetsanalysen innefattar både externa- och interna risker. Styrelsen bör tillse att nytt avtal avseende IT upprättas. Kävlinge, den 27 november 2013 ofie Bredberg Verksamhetsrevisor Ernst & Young Jfrkob SMith Certifierad kommunal revisor Ernst & Young Intervjuade medarbetare Ulf Grönwall, vd, KKB Fastigheter AB 10